Infinity Core : six failles du noyau Linux avec des exploits publics

Le chercheur en sécurité Hyunwoo Kim a divulgué le 16 octobre 2026, sur la liste de diffusion oss-security, six vulnérabilités du noyau Linux regroupées sous le nom « Infinity Core ». Selon Kim, elles « peuvent être exploitées pour une LPE sur serveur Linux, une évasion de conteneur et une LPE sur Android ». La LPE, ou élévation locale de privilèges, signifie qu'un utilisateur ordinaire devient root. Des exploits fonctionnels sont déjà publics. Toute personne qui gère des machines Linux partagées ou des hôtes de conteneurs devrait donc mettre à jour ses noyaux dès maintenant.

Les six vulnérabilités Infinity Core

Le message sur oss-security liste chaque bug avec son identifiant CVE, le sous-système où il se trouve et le commit qui l'a corrigé. Il ne donne aucun numéro de version. Les versions corrigées du noyau ci-dessous proviennent de SecurityOnline, et non du message de Kim.

Sous-système	CVE	Type de bug	Corrigé dans (selon SecurityOnline)
Timer	CVE-2026-98260	Use-after-free lors du nettoyage des timers CPU POSIX	6.6.158, 6.12.112, 6.18.54, 7.2.8
Signal	CVE-2026-98256	Use-after-free dans la file des signaux en attente	6.18.54, 7.2.8
Mémoire	CVE-2026-89754	Écriture hors limites dans le parcours des tables de pages utilisé par mincore()	6.18.50, 7.2.4
Futex	CVE-2026-80775	Use-after-free lors de la mise en place du hachage futex privé	6.18.47, 7.1.11, 7.2.1
Scheduler	CVE-2026-98385	Use-after-free dans la comptabilité du cache de l'ordonnanceur	7.2.9
SLAB	CVE-2026-97941	Corruption de liste dans l'allocateur mémoire SLUB	7.2.7

La plupart sont des bugs de type use-after-free. Le noyau libère une zone de mémoire mais continue à l'utiliser, et un attaquant peut remplir à nouveau cette mémoire avec des données de son choix. Plusieurs dépendent aussi d'une situation de concurrence (race condition), où deux opérations se percutent à un instant précis. Les bugs des timers et des signaux, par exemple, se déclenchent quand exec() échoue ou entre en concurrence dans un programme multithread. L'appel exec() remplace un programme en cours d'exécution par un nouveau.

Selon SecurityOnline, le bug des timers remonte à Linux 5.7, ce qui explique qu'il touche d'anciens noyaux à support long. D'après le site, les bugs de l'ordonnanceur et de SLAB ne concernent que la série 7.2.

Quelle est leur gravité

Cinq des six s'accompagnent d'un exploit de démonstration (proof of concept) public qui donne un shell root, selon le dépôt GitHub de Kim et SecurityOnline. La sixième, le bug SLAB, ne fait pour l'instant que planter le noyau. « Aucune chaîne LPE n'a encore été écrite », indique le dépôt.

Kim a testé les exploits sur Ubuntu 26.04 avec le noyau 7.0.0-30-generic et sur Arch Linux avec le noyau 7.2.4-arch1-2. Le bug de l'ordonnanceur a une portée plus étroite que les autres. Il nécessite l'option de compilation CONFIG_SCHED_CACHE et un réglage activé à l'exécution, et son exploit suppose quatre processeurs virtuels.

SecurityOnline classe quatre des bugs en gravité élevée (High), avec un score CVSS maximal de 7,8, et deux attendent encore une analyse. Le site ne signale aucune attaque réelle. Aucun des six ne figure dans le catalogue Known Exploited Vulnerabilities de la CISA, la liste américaine des failles observées dans de vraies attaques.

Les recherches ont délibérément laissé de côté le réseau, BPF et les bugs qui nécessitent des espaces de noms utilisateur. SecurityOnline estime qu'une mesure de durcissement courante, désactiver les espaces de noms utilisateur non privilégiés ou BPF, ne bloquerait pas ces bugs.

Les téléphones Android sont aussi concernés

Le bug des timers fonctionne aussi sur Android, selon le dépôt de Kim. Il donne les droits root sur un Samsung Galaxy S26 Ultra depuis une application ordinaire, « sans aucun privilège applicatif supplémentaire ». Kim garde cet exploit Android pour l'instant. Il sera publié quand Samsung aura corrigé ses appareils ou si quelqu'un d'autre publie un exploit avant. Aucun bulletin de Samsung ni aucune date de correctif n'apparaît dans les sources.

Comment la divulgation s'est déroulée

Kim a signalé les bugs en privé à linux-distros, la liste fermée où les éditeurs Linux préparent les correctifs avant qu'un bug devienne public. Selon le message public de Kim, l'embargo convenu avec ces mainteneurs a expiré. La divulgation est intervenue deux jours avant la sortie de Linux 7.3, le 18 octobre.

Ce que cela signifie pour les développeurs

Installez le dernier noyau de votre distribution et redémarrez. Un correctif du noyau ne sert à rien tant que la machine n'a pas démarré sur le nouveau noyau. Les distributions rétroportent souvent les correctifs dans leurs propres numéros de version. Cherchez donc les six identifiants CVE dans les avis de sécurité de votre éditeur plutôt que de comparer les numéros de version avec le tableau ci-dessus.

Corrigez d'abord les machines les plus exposées. Une évasion de conteneur permet au code d'un conteneur de prendre le contrôle de tout l'hôte. Les nœuds Kubernetes, les serveurs de build partagés et les runners de CI passent donc en premier, en particulier les runners qui compilent des pull requests d'inconnus.

Ne comptez pas sur la désactivation des espaces de noms utilisateur ou de BPF comme solution d'attente. Si vous utilisez des appareils Android de test, installez la mise à jour de sécurité de Samsung dès sa sortie, car le bug des timers fonctionne depuis une application ordinaire.

Le schéma mérite aussi d'être noté. Ces bugs se trouvent dans le code central du noyau, comme les timers, les signaux et l'allocateur de mémoire, que tout système exécute. L'isolation des conteneurs repose sur ce noyau partagé, si bien qu'un bug du noyau peut franchir une frontière qui semble solide depuis l'espace utilisateur.